2026-07-16

納品したサイトが改ざんされたら、責任は誰にあるのか

「うちのせいじゃない」と言い切れるか

顧客に納品したWebサイトが改ざんされたとき、真っ先に聞かれるのは「なぜ気づかなかったのか」という質問です。契約上の責任範囲がどうであれ、制作や運用に関わった立場として、この問いから逃れることは難しいのが実情です。

顧客にとって、契約上の線引きがどうなっているかは二の次で、まず知りたいのは「誰が、いつ、どう対応したか」という一点です。この問いに答えられるかどうかが、最初の印象を大きく左右します。

契約書に書いていないから安心、とは限らない

保守契約の範囲にセキュリティ監視が明記されていなければ、法的な責任の所在は契約内容次第かもしれません。ただ、顧客が期待するのは契約書の文言ではなく、「ちゃんと見てくれていたかどうか」という実感です。契約上の線引きと、顧客の納得感は、必ずしも一致しません。

契約書を盾に説明しても、顧客の不信感が解消されるとは限りません。むしろ「契約の話をされた」という印象だけが残り、その後の関係に影を落とすこともあります。

「知らなかった」が一番苦しい説明になる

改ざんに気づかず、顧客からの連絡で初めて知った場合、どれだけ他の作業を丁寧にこなしていても、「見ていなかった」という事実だけが残ります。逆に、監視をしていた記録があり、検知から対応までの流れを説明できれば、同じ事故でも受け止められ方はまったく違います。

同じ被害内容でも、説明できる材料があるかないかで、顧客の反応は大きく分かれます。事故そのものより、事故後の説明のしかたが、信頼関係を左右します。

完全に防ぐことは、誰にもできない

ここで大切なのは、改ざんを完全に防げると約束することではありません。どれだけ対策をしても、攻撃を完全にゼロにすることはできません。重要なのは、防げなかったときに何を説明できるかです。

完璧な防御を約束してしまうと、実際に何か起きたときにかえって信頼を損ないます。防げる前提ではなく、起きたときにどう対応するかを前提に考えるほうが現実的です。

説明できる状態を、事前につくっておく

検知の記録、対応の経緯、再発防止の内容。これらを事前に用意できる状態にしておくことが、事故が起きたときの説明のしやすさに直結します。逆に言えば、これは事故が起きる前に準備しておくべきものです。

事故が起きてから準備を始めても間に合いません。平常時にどれだけ備えておけるかが、いざというときの対応の質を決めます。

保守契約は、その準備の一部

Web制作会社として、セキュリティ監視を保守契約に組み込むことは、単なる追加サービスというより、事故が起きたときに「見ていました」と言えるようにするための備えです。顧客との関係を守るための準備として、あらためて位置づけを見直す価値があります。

保守契約の内容を見直すことは、売上を増やすための話である以上に、顧客との信頼関係を長く保つための話でもあります。